弹性网络接口中继

• 只有经 Amazon ECS 优化的 AMI 的 Linux 版本，或其他具有容器代理 1.28.1 版本或更高版本以及 ECS init 软件包版本 1.28.1-2 或更高版本的 Amazon Linux 版本才能支持增加的 ENI 限制。只有您使用经 Amazon ECS 优化的 AMI 的 Linux 版本，则将满足这些要求。目前不支持 Windows 容器。

• 仅在选择使用 awsvpcTrunking 后启动的新 Amazon EC2 实例将收到增加的 ENI 限制和中继网络接口。无论采取何种措施，以前启动的实例都不会收到这些功能。

• Amazon EC2 实例必须关闭基于资源的 IPv4 DNS 请求。要禁用此选项，请确保在使用 Amazon EC2 控制台中创建新实例时取消选中 Enable resource-based IPV4 (A record) DNS requests（启用基于资源的 IPV4（A 记录）DNS 请求）选项。要使用 Amazon CLI 禁用此选项，使用以下命令：

  aws ec2 modify-private-dns-name-options --instance-id i-xxxxxxx --no-enable-resource-name-dns-a-record --no-dry-run

• 不支持共享子网中的 Amazon EC2 实例。如果使用这些实例，则它们将无法注册到集群。

• 您的 Amazon ECS 任务必须使用 awsvpc 网络模式和 EC2 启动类型。不管启动的实例数量如何，使用 Fargate 启动类型的任务都始终会收到专用的 ENI，因此不需要此功能。

• 您的 Amazon ECS 任务必须在您的容器实例所在的 Amazon VPC 中启动。如果您的任务与容器实例不在同一 VPC 中，则任务将无法启动并显示属性错误。

• 在启动新的容器实例时，实例将转换为 REGISTERING 状态，同时为实例预配置中继弹性网络接口。如果注册失败，则实例将转换为 REGISTRATION_FAILED 状态。您可以通过描述容器实例以查看 statusReason 字段，该字段描述失败的原因。然后可以手动注销或终止容器实例。一旦容器实例成功注销或终止，Amazon ECS 将删除中继 ENI。

  注意

  Amazon ECS 会发出容器实例状态更改事件，您可以监控这些事件，以查看过渡到 REGISTRATION_FAILED 状态。有关更多信息，请参阅容器实例状态更改事件。

• 一旦终止容器实例，该实例就会转换为 DEREGISTERING 状态，同时取消预配置中继弹性网络接口。随后，实例将转换为 INACTIVE 状态。

• 如果停止并重新启动具有增加的 ENI 限制的公有子网中的容器实例，则实例将丢失其公有 IP 地址，并且容器代理将丢失其连接。

• 必须创建 Amazon ECS 的服务相关角色。Amazon ECS 服务链接角色为 Amazon ECS 提供代表您调用其他 Amazon 服务的权限。此角色是在创建集群时 (或者在 Amazon Web Services Management Console 中创建或更新服务时) 自动为您创建的。有关更多信息，请参阅对 Amazon ECS 使用服务相关角色。您也可以使用以下 Amazon CLI 命令创建服务相关角色。

  aws iam create-service-linked-role --aws-service-name ecs.amazonaws.com

• 您的账户或容器实例 IAM 角色必须选择使用 awsvpcTrunking 账户设置。可通过以下方式执行此任务：

  • 任何用户都可以使用 PutAccountSettingDefault API 来选择账户上的所有 IAM 用户和角色

  • 根用户可以使用 PutAccountSetting API 来选择将在集群上注册实例的 用户或容器实例角色

  • 在某个实例注册到集群之前，当 PutAccountSetting API 运行在该实例上时，容器实例角色可以选择使用自身

  有关更多信息，请参阅账户设置。

使用命令为您账户上的所有用户和角色选择增加的 ENI 限制。

账户上的任意用户可以使用下列命令之一修改账户中所有 IAM 用户或角色的原定设置账户设置。这些更改将应用于整个 Amazon 账户，除非一个用户或角色显式覆盖自己的这些设置。

• put-account-setting-default (Amazon CLI)

  aws ecs put-account-setting-default \
  
        --name awsvpcTrunking \
        --value enabled \
        --region us-east-1

• Write-ECSAccountSettingDefault (Amazon Tools for Windows PowerShell)

  Write-ECSAccountSettingDefault -Name awsvpcTrunking -Value enabled -Region us-east-1 -Force

以账户所有者身份为用户或容器实例 IAM 角色选择增加的 ENI 限制

账户所有者可以使用以下命令之一，并在请求中指定主体用户或容器实例 IAM 角色的 ARN 来修改账户设置。

• put-account-setting (Amazon CLI)

  以下示例用于修改特定 用户的账户设置：

  aws ecs put-account-setting \
        --name awsvpcTrunking \
        --value enabled \
        --principal-arn arn:aws:iam::aws_account_id:user/userName \
        --region us-east-1

  以下示例用于修改特定容器实例 IAM 角色的账户设置：

  aws ecs put-account-setting \
        --name awsvpcTrunking \
        --value enabled \
        --principal-arn arn:aws:iam::aws_account_id:role/ecsInstanceRole \
        --region us-east-1

• Write-ECSAccountSetting (Amazon Tools for Windows PowerShell)

  以下示例用于修改特定 用户的账户设置：

  Write-ECSAccountSetting -Name awsvpcTrunking -Value enabled -PrincipalArn arn:aws:iam::aws_account_id:user/userName -Region us-east-1 -Force

  以下示例用于修改特定容器实例 IAM 角色的账户设置：

  Write-ECSAccountSetting -Name awsvpcTrunking -Value enabled -PrincipalArn arn:aws:iam::aws_account_id:role/ecsInstanceRole -Region us-east-1 -Force

使用 Amazon CLI 查看具有增加的 ENI 限制的容器实例

每个容器实例都有一个默认网络接口，该接口称为中继网络接口。使用以下命令通过查询 ecs.awsvpc-trunk-id 属性来列出具有增加的 ENI 限制的容器实例，这表明它具有中继网络接口。

• list-attributes (Amazon CLI)

  aws ecs list-attributes \
        --target-type container-instance \
        --attribute-name ecs.awsvpc-trunk-id \
        --cluster cluster_name \
        --region us-east-1

• Get-ECSAttributeList (Amazon Tools for Windows PowerShell)

  Get-ECSAttributeList -TargetType container-instance -AttributeName ecs.awsvpc-trunk-id -Region us-east-1